最近在给项目找 CAPTCHA 方案,发现了一个很轻巧的开源项目叫 Cap ,它基于 SHA-256 的 Proof-of-Work 算法,完全不依赖图像或追踪用户,非常适合注重隐私和性能的场景。
不过 Cap 默认没有提供一个官方的后端 API ,需要开发者自己部署使用,比较麻烦。所以我基于原项目做了一些修改,并用 Cloudflare Workers 搭建了一个 免费的公开后端 API ,可以直接拿来接入,非常适合个人开发者和小型项目使用。
✅ 永久免费(公益性质)
🚀 接入简单
🛡️ 无用户追踪、隐私友好
欢迎试用和反馈:
👉 API 后端地址: https://captcha.gurl.eu.org/
👉 在线 Demo: https://codepen.io/oceanusx/pen/azvpLyO
集成示例代码:
<script src="https://cdn.jsdelivr.net/npm/@cap.js/[email protected]"></script>
<cap-widget id="cap" data-cap-api-endpoint="https://captcha.gurl.eu.org/api/"></cap-widget>
希望能帮到和我一样想快速接入 CAPTCHA 的开发者!
1
Aprdec 45 天前
好!
|
2
yodi 41 天前
不太懂,验证几乎无交互,真的能完全阻止机器人吗? 阻止机器人做什么行为?
由于 pow ,单一用户无法短时间内多次频繁通过验证,但是多个不同用户是不是可以慢慢通过验证? |
3
tfu OP @yodi 无论是什么样的验证码都无法 100%阻止所有机器人,而是增加其操作成本。虽然验证本身无交互,但通过 PoW (工作量证明)机制,可以限制单个用户高频请求;多个不同用户确实可以慢慢通过,但只要你设置足够的难度,就能有效防止批量滥用,比如刷接口、薅羊毛、撞库等。本质上就是一种手段通过提高操作成本( PoW 计算需要时间)来放慢访问的速度,实现类似于速率限制,防止 DDOS 的效果
|
5
tfu OP @yodi 主要看要防的 DDoS 属于哪种类型。若是 L3/L4 打带宽/协议层的 DDoS ,则 PoW 基本无效,需要靠 CDN/流量清洗/隐藏源站。PoW 主要针对 L7 应用层滥用(有人把这层的滥用称为 CC 攻击、不叫 DDoS ,术语各家不同):先算后验,把成本转给发起方,批量刷就会更贵更慢(因为计算 PoW 需要时间),只能抬价减速,不能绝对阻断。
|
6
drymonfidelia 36 天前
只能做到防 C ,对于能赚钱的灰产完全没效果,灰产的肉鸡几万台起步
|